À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les mises à jour récentes sont répertoriées à la page Mises à jour de sécurité Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.
Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.
iOS 15.7.6 et iPadOS 15.7.6
Publié le 18 mai 2023
Accessibility
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure de contourner les préférences en matière de confidentialité.
Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.
CVE-2023-32388 : Kirin (@Pwnrin)
Apple Neural Engine
Disponible pour les appareils dotés du Neural Engine d’Apple : iPhone 8 et modèles ultérieurs, iPad Pro (3e génération) et modèles ultérieurs, iPad Air (3e génération) et modèles ultérieurs ainsi qu’iPad mini (5e génération)
Conséquence : une app peut être en mesure de sortir de son bac à sable.
Description : ce problème a été résolu par l’application de meilleures vérifications.
CVE-2023-23532 : Mohamed Ghannam (@_simo36)
Apple Neural Engine
Disponible pour les appareils dotés du Neural Engine d’Apple : iPhone 8 et modèles ultérieurs, iPad Pro (3e génération) et modèles ultérieurs, iPad Air (3e génération) et modèles ultérieurs ainsi qu’iPad mini (5e génération)
Conséquence : une app peut être en mesure d’accéder à des privilèges élevés.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2023-32425 : Mohamed Ghannam (@_simo36)
Entrée ajoutée le 21 décembre 2023
CoreCapture
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2023-28181 : Tingting Yin de l’Université Tsinghua
ImageIO
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution de code arbitraire.
Description : un problème de dépassement de mémoire tampon a été résolu par une meilleure vérification des limites.
CVE-2023-32384 : Meysam Firouzi @R00tkitsmm en collaboration avec Trend Micro Zero Day Initiative
IOSurface
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure de divulguer des données sensibles relativement à l’état du noyau.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2023-32410 : hou xuewei (@p1ay8y3ar) vmk msu
Kernel
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Impact : une app sandbox pourrait être capable d’observer les connexions réseau à l’échelle du système
Description : le problème a été résolu par des vérifications d’autorisations supplémentaires.
CVE-2023-27940 : James Duffy (mangoSecure)
Kernel
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure d’accéder à des privilèges liés à la racine.
Description : un problème de concurrence a été résolu par une meilleure gestion des états.
CVE-2023-32413 : Eloi Benoist-Vanderbeken (@elvanderb) de Synacktiv (@Synacktiv) en collaboration avec Trend Micro Zero Day Initiative
Kernel
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2023-32398 : Adam Doupé de ASU SEFCOM
Metal
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure de contourner les préférences en matière de confidentialité.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2023-32407 : Gergely Kalman (@gergely_kalman)
NetworkExtension
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.
Description : cette question a été traitée avec une amélioration de la rédaction des informations sensibles.
CVE-2023-32403 : Adam M.
Entrée mise à jour le 21 décembre 2023
Photos
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : l’option Secouer pour annuler peut permettre de refaire apparaître une photo supprimée sans authentification
Description : ce problème a été résolu par de meilleures vérifications.
CVE-2023-32365 : Jiwon Park
Shell
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure de modifier des sections protégées du système de fichiers.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2023-32397 : Arsenii Kostromin (0x3c3e)
Shortcuts
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : un raccourci peut être en mesure d’utiliser des données sensibles avec certaines actions sans demander à l’utilisateur
Description : ce problème a été résolu par de meilleures vérifications.
CVE-2023-32391 : Wenchao Li et Xiaolong Bai du groupe Alibaba
Telephony
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : un attaquant à distance pourrait être en mesure de provoquer la fermeture inopinée d’une app ou l’exécution de code arbitraire.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2023-32412 : Ivan Fratric de Project Zero de Google
TV App
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.
Description : le problème a été résolu par une meilleure gestion des caches.
CVE-2023-32408 : Adam M.
WebKit
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Impact : le traitement du contenu Web peut révéler des informations sensibles. Apple a connaissance de l’exploitation active potentielle de cette faille de sécurité.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
WebKit Bugzilla : 254930
CVE-2023-28204 : un chercheur anonyme
WebKit
Disponible pour : iPhone 6s (tous les modèles), iPhone 7 (tous les modèles), iPhone SE (1re génération), iPad Air 2, iPad mini (4e génération) et iPod touch (7e génération)
Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution de code arbitraire. Apple a connaissance de l’exploitation active potentielle de cette faille de sécurité.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
WebKit Bugzilla : 254840
CVE-2023-32373 : un chercheur anonyme
Remerciements supplémentaires
libxml2
Nous tenons à remercier OSS-Fuzz et Ned Williamson de Project Zero de Google pour leur aide.
Reminders
Nous tenons à remercier Kirin (@Pwnrin) pour son aide.
Security
Nous tenons à remercier James Duffy (mangoSecure) pour son aide.
Wi-Fi
Nous tenons à remercier Adam M. pour son aide.
Entrée mise à jour le 21 décembre 2023